TSPY_ZBOT.ZR

 危険度:

 感染確認数:

 システムへの影響:

 情報漏えい:

• マルウェアタイプ: Spyware
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

  概要

• outpost.exe
• zlclient.exe

マルウェアは、上記の何れかのプロセスの存在を確認すると、プロセスを終了します。これにより、プロセスの実行が中断されます。また、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

  詳細

侵入方法

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://{BLOCKED}rgs.biz/abc/loddd.exe

自動実行方法

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit=%System%\userinit.exe, %System%\sdra64.exe,

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}rgs.biz/abc/abc.bin

情報漏洩

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• HSBC

• Microsoft

• Myspace

• OSPM

• Odnoklassniki

• Santander

• Vkontakte

ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード先および収集した情報の送信先が記載されています。

マルウェアは、Webサイトにアクセスしてファイルをダウンロードします。このファイルは、不正プログラムがアップデートされた自身のコピーをダウンロードする場所に関する情報を含んでいます。

• !*.microsoft.com/*

• !http://*myspace.com*

• https://www.gruposantander.es/*

• !http://*odnoklassniki.ru/*

• !http://vkontakte.ru/*

• @*/login.osmp.ru/*

• @*/atl.osmp.ru/*

• *.hsbc.co.uk/1/2*

• *hsbc.co.uk*gate.php*

マルウェアは、ユーザ名およびパスワードのようなオンラインバンキング情報に関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

インストール

マルウェアは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• %System%\lowsec

マルウェアは、感染コンピュータ上の、アドレスバー情報といったInternet Explorer（IE）の使用状況を監視します。不正プログラムは、ユーザがアドレスバーまたはタイトルバーに以下の文字列を含む銀行サイトにアクセスした場合、偽のログインページが表示されるWebサイトを作成します。

• _AVIRA_2109

マルウェアは、以下の無害なファイルを作成します。

• %System%\lowsec\local.ds - copy of the encrypted downloaded file

• %System%\lowsec\user.ds - used to save the gathered information

マルウェアは、以下のプロセスに組み込まれシステムのプロセスに常駐します。

• SVCHOST.EXE

• WINLOGON.EXE

その他

マルウェアは、'Outpost Personal Firewall' および 'ZoneLabs Firewall Client' に関連した以下のプロセスの存在を確認します。

• outpost.exe
• zlclient.exe

マルウェアは、上記の何れかのプロセスの存在を確認すると、プロセスを終了します。これにより、プロセスの実行が中断されます。また、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

他のシステム変更

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
UID={Computer name}_{Random numbers}

マルウェアは、以下のレジストリ値を作成し、Windowsファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile
EnableFirewall=0

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %System%\lowsec\user.ds

マルウェアは、HTTP POST を介して収集された情報を以下のURLに送信します。

• http://{BLOCKED}rgs.biz/abc/jdfhf.php

ハッシュ値情報

マルウェアは、以下のWebサイトからダウンロードしたファイルとして、コンピュータに侵入します。

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• cfd63207ffd84a8bfb04509f3282011043738c72

  対応方法